V tomto příspěvku se podrobněji podíváme na zranitelnosti počítačových systémů, které patří do skupiny „neprodleně oprav“. Jako kritickou zranitelnost označujeme chybu, která může být snadno zneužita vzdáleným neznámým útočníkem za účelem kompromitace systému a spuštění libovolného i útočníkem dodaného programového kódu, to vše bez potřeby, aby vlastník systému něco potvrdil nebo s něčím souhlasil. Některé zranitelnosti jsou dokonce tak kritické, že si vyslouží i pozornost Národního kybernetického centra.
Proč jsou kritické zranitelnosti tak časté? Co mají společného? Například operační systém Windows 10 si jen za rok 2019 připsal více než sto kritických zranitelností. Celkově, napříč všemi softwarovými produkty za rok 2019, bylo přes osm set kritických zranitelností.
Chápete? Potíž spočívá v tom, že často ani programátoři nechápou. Nepochopení či přehlédnutí hraničních podmínek při práci s počítačovou pamětí vytváří prostředí pro to, aby mohla proběhnout následující komunikace:
Kurýr volá Alici: „Mám pro Vás jeden malý balíček.“
Alice si připravila košíček a vydala se kurýrovi naproti.
Kurýr vysypal Alici do košíčku plnou Tatru písku.
Ptáte se, co se stalo s Alicí? A co s košíčkem? Pochopíte, až zjistíte, co se stalo s pískem. V počítačovém světě je zranitelný systém zaplněn daty místo písku. Útočník využívá znalosti rozložení paměti ve zranitelném systému a připraví si plnící data tak, aby obsahovala nejen spustitelný kód (program), ale aby se i v paměti nebohé oběti přepsala místa, která popisují běh programu – a tak se změnil samotný běh programu. Aby se již nevykonával program tak, jak jej zamýšlel původní programátor, ale aby se spouštěly instrukce, které útočník nasunul v plnících datech.
A jak se to všechno týká eRoušky? Aplikace eRouška pro svoji funkci využívá Bluetooth. A právě Bluetooth má kritické zranitelnosti, které jsou vysoce infekční a šíří se vzduchem. Starý, ale nebezpečný BlueBorn a nedávno objevený BlueFrag.
U aktualizací systému Android ne zcela vždy platí zásada „neprodleně oprav“, protože se často jedná o zařízení, ke kterým jejich výrobce již žádné aktualizace nedodává. Rok, dva nebo i více let stará zařízení byla nahrazena novějším modelem, alespoň z pohledu výrobce. Pak existuje pouze jediná možnost zabezpečení – mít Bluetooth vypnuté a zapínat jej pouze například doma, kde není pravděpodobné zneužití útočníkem. Naopak zapnuté Bluetooth na neopraveném Android OS dává na veřejných místech případným útočníkům šanci k napadení telefonu a kupříkladu k převzetí kontroly nad účty na sociálních sítích nebo k vykradení uložených hesel. Oběť neobdrží vůbec žádnou hlášku k potvrzení a ničeho si tak ani nevšimne.
Vývojáři eRoušky jsou si zranitelností vědomi. Jejich cílem je však vyvinout aplikaci, která pro svoji optimální funkci potřebuje, aby si ji nainstalovalo a používalo co největší množství lidí. Vývojář aplikace nemůže provádět opravy operačního systému a není ani vhodné, aby uživatele zneklidňoval oznámením o případných chybějících aktualizacích. Nepochopili by to.
Kybernetická bezpečnost není o tlačítku, jež zapneme, nebo o antiviru, který nainstalujeme. Jedná se o proces, ve kterém musí za stejný provaz táhnout výrobci, vývojáři i uživatelé. Hlediska jako profit, nízká cena, jednoduchost použití, maximalizace rozšíření aplikace či rychlé uvedení nových funkcionalit však bohužel odsouvají bezpečnost na vedlejší kolej. A proto je počítačový svět okolo nás tak lehce zranitelný.
